使用烟尘进行Android Intent分析

Question

我需要分析各种android apks，找到执行意图的方法，然后获得意图的动作名称，如"ACTION_VIEW"等

我能够检索所有相关的方法，如startActivity()， startActivityForResult()和onCreate()。但是我无法在相应的Locals (Intent reference)中获得动作名称或常量。是否有可能将Intent.java类加载到场景中(添加基本类已经这样做了吗?)然后将Local转换为Intent对象?或者你能给我推荐一个完全不同的使用烟灰的方法吗?

下面是我当前自定义的煤灰类列表:

Options.v().set_src_prec(Options.src_prec_apk);
Options.v().set_whole_program(true);
Options.v().set_output_format(Options.output_format_none);
Scene.v().addBasicClass("java.lang.Object");          
Scene.v().addBasicClass("android.content.Intent");
    PackManager.v().getPack("jtp").add(new Transform("jtp.myInstrumenter", new BodyTransformer() {
        @Override
        protected void internalTransform(Body b, String phaseName, Map options) {
            final PatchingChain<Unit> units = b.getUnits();
            //important to use snapshotIterator here
            for(Iterator<Unit> iter = units.snapshotIterator(); iter.hasNext();) {
                final Unit u = iter.next();
                u.apply(new AbstractStmtSwitch() {
                    // getting invoke statements
                    public void caseInvokeStmt(InvokeStmt stmt) {
                        InvokeExpr invokeExpr = stmt.getInvokeExpr();
                        // getting intent respective methods
                        if(invokeExpr.getMethod().getName().equals("onCreate") ||
                                invokeExpr.getMethod().getName().equals("startActivity") ||
                                invokeExpr.getMethod().getName().equals("startActivityForResult")) {
                            System.out.println(invokeExpr.getMethod().getSignature());
                            // get value 0, always an Intent in those methods
                            Value val = invokeExpr.getArg(0); // references Intent
                            if(val.getType() instanceof RefType) {
                                RefType rt = (RefType) val.getType();
                                // Cast to android.content.Intent here..
                                // Intent in = (Intent) val;
                                System.out.println(rt.getClassName());
                            }       
                        }   
                    }
                });
            }
        }
    }));

以apk为例，输出如下:

<android.app.Activity: void startActivityForResult(android.content.Intent,int)>
android.content.Intent
<android.app.Activity: void startActivityForResult(android.content.Intent,int)>
android.content.Intent
<android.app.Activity: void startActivityForResult(android.content.Intent,int)>
android.content.Intent
<android.app.Activity: void onCreate(android.os.Bundle)>
android.os.Bundle
<android.content.Context: void startActivity(android.content.Intent)>
android.content.Intent

Answer 1

您必须考虑到Soot是"静态的"分析目标的。这意味着作为参数传递的实际值是不可访问的(通常)。你的代码打印参数的"类型"(类android.content.Intent)。原因是Java (Dalvik或ART)字节码是类型化的。所以这个信息是静态的。如果你想检索实际值，据我所知，你有两种方法:切换到动态分析(例如，你可以检测调用并在测试期间打印它的参数)或执行数据流分析。第二种方法可能非常复杂且难以扩展。您可能希望了解基于程序切片的技术或抽象解释框架。